Video: Corso di Programmazione: Impara a programmare da zero | Alberto Olla (Settembre 2024)
Dimentica i giorni zero. Gli attacchi Java hanno esito positivo perché gli utenti eseguono versioni non aggiornate del plug-in Java nel proprio browser.
Quasi il 75 percento degli utenti finali esegue una versione di Java nel proprio browser che è obsoleta da almeno sei mesi, Charles Renert, vicepresidente della ricerca e sviluppo di Websense, ha scritto lunedì sul blog di Websense Security Labs. Solo il cinque percento degli endpoint utilizzava l'ultima versione di Java Runtime Environment, 1.7.17, secondo Websense.
I numeri diventano ancora più angoscianti quando si guardano le versioni precedenti del plug-in Java per il browser. Due terzi degli utenti avevano Java che era obsoleto da almeno un anno e il 50 percento utilizzava una versione che aveva più di due anni. Quasi il 25 percento degli utenti aveva in realtà una versione che aveva più di quattro anni. La tabella sopra mostra i dettagli: fai clic per vedere un'immagine più grande (un'immagine ancora più grande è sul post del blog).
"Come puoi vedere, le versioni Java sono su tutta la mappa", ha osservato Renert.
I dati per questa analisi provengono da decine di milioni di endpoint nella rete ThreatSeeker di Websense.
Java obsoleto si traduce in attacchi
Dopo aver confermato che, nonostante i frequenti promemoria per mantenere Java (qualsiasi software sul computer, in realtà) aggiornato, una maggioranza significativa di utenti non lo sta facendo, Websense ha esaminato quanto fossero vulnerabili le versioni precedenti. Come notato in precedenza da SecurityWatch , la maggior parte degli attacchi informatici non si preoccupa delle vulnerabilità zero-day, specialmente quando esiste un gigantesco pool di vittime che esegue software obsoleto.
"È quello che fanno i cattivi: esamina i tuoi controlli di sicurezza e trova il modo più semplice per aggirarli", ha detto Renert.
Websense ha esaminato le vulnerabilità di Java prese di mira nei kit di exploit Cool, Gong Da, MiniDuke, Blackhole 2.0, RedKit e CritXPack e ha scoperto che gli utenti con un plug-in Java obsoleto abilitato nel browser sono vulnerabili agli attacchi utilizzati da at almeno uno dei kit. Il più grande difetto di Java sfruttato singolo esiste nelle versioni JRE 1.7.15 e 1.6.41 e precedenti e il 93.77 percento dei browser è vulnerabile, ha affermato Renert. La seconda vulnerabilità più sfruttata è nella versione 1.7.11 e riguarda l'83, 87 percento dei browser. Entrambi gli exploit sono presi di mira dal kit di exploit Cool.
"Afferrare una copia dell'ultima versione di Cool e utilizzare un exploit preconfezionato è una barra piuttosto bassa per andare dietro una così vasta popolazione di browser vulnerabili", ha detto Renert, aggiungendo, "Chiaramente non sono solo gli attacchi zero-day che dovrebbe ricevere tutta l'attenzione ".
Ci sono anche molti utenti che non sono passati alla nuova versione di Java Development Kit. Websense ha riscontrato che circa il 79 percento degli utenti utilizzava ancora plug-in basati su Java 6. Considerando che Oracle ha rilasciato Java Development Kit 6, l'aggiornamento 43 solo poche settimane fa e che Java 6 non sarà più supportato, gli utenti devono davvero passare a Java 7 il prima possibile.
"Se non sei nella versione 7 (che è il 78, 86 percento di te), Oracle non ti invierà più aggiornamenti anche se vengono scoperte nuove vulnerabilità", ha avvertito Renert.
Sei limitato quando si tratta di difendersi dagli attacchi zero-day, ma ci sono due semplici cose che puoi fare per proteggerti da tutti questi attacchi usando exploit precedenti: Installa gli aggiornamenti di sicurezza sul tuo sistema operativo e software non appena disponibili, e esegui l'upgrade all'ultima versione ogni volta che puoi.
È la cosa sicura da fare.
